--- title: "Protección de datos y privacidad | Tajo" description: "Información detallada sobre protección de datos y cumplimiento normativo en la plataforma Tajo" url: https://tajo.io/es/docs/compliance/data-protection/ markdown: https://tajo.io/es/docs/compliance/data-protection.md lang: es-ES author: "Set Noa" author_url: https://tajo.io/es/set-noa/ robots: noindex --- Solicita acceso anticipado Escribe tu nombre y dirección de correo de trabajo. Te enviaremos un enlace para confirmar tu solicitud de acceso a Tajo. # Protección de datos y privacidad [Set Noa](https://tajo.io/es/set-noa/) Este documento explica cómo Tajo trata los datos personales de los clientes de los comerciantes, de sus clientes potenciales y de las personas que visitan sus sitios. Nuestro compromiso con la protección de datos garantiza el cumplimiento del RGPD, la CCPA y otras normativas de privacidad de todo el mundo. ## Finalidad y minimización de datos ### ¿Tajo trata únicamente los datos personales imprescindibles para aportar valor a los comerciantes? **Sí.** Tajo trata solo los datos personales imprescindibles para: - Sincronizar la información de los clientes con Brevo para la automatización de marketing - Habilitar las funciones del programa de fidelidad - Hacer seguimiento de los pedidos y de la interacción de los clientes - Ofrecer capacidades de comunicación multicanal Los datos personales incluyen la información que permite identificar a una persona concreta (nombre, dirección de email) o que puede vincularse a ella (importe total de un pedido, ID de cliente). ### ¿Tajo informa a los comerciantes de los datos personales que trata y de las finalidades de ese tratamiento? **Sí.** Ofrecemos transparencia total a través de: - Nuestro Acuerdo de Tratamiento de Datos (DPA), que define con claridad todas las categorías de datos tratados - Documentación que especifica exactamente qué datos se sincronizan con Brevo - Documentación clara de la API que muestra todos los campos de datos transmitidos - Un historial de ejecuciones de cada sincronización, que muestra qué se sincronizó y cuándo ### ¿Tajo limita el uso de los datos personales a esa finalidad? **Sí.** Tajo usa los datos personales exclusivamente para: - Prestar los servicios principales de la plataforma descritos en nuestros Términos del servicio - Sincronizar los datos de clientes con Brevo para la automatización de marketing - Gestionar programas de fidelidad y funciones de interacción con los clientes - Generar analíticas e información útil para los comerciantes No usamos los datos de los clientes para ninguna finalidad que vaya más allá de las indicadas y aceptadas de forma explícita. ## Consentimiento y base jurídica ### ¿Tajo tiene acuerdos de privacidad y protección de datos con sus comerciantes? **Sí.** Todo comerciante debe aceptar: - **Términos del servicio**: regulan el uso de la plataforma Tajo - **Acuerdo de Tratamiento de Datos (DPA)**: define nuestro papel como encargado del tratamiento - **Política de privacidad**: describe nuestras prácticas de tratamiento de datos Estos acuerdos establecen que: - Tajo actúa como **encargado del tratamiento** de los datos de clientes del comerciante - Los comerciantes actúan como **responsables del tratamiento** y deben obtener el consentimiento adecuado - Ambas partes tienen obligaciones claras en materia de protección de datos ### ¿Tajo respeta y aplica las decisiones de consentimiento de los clientes? **Sí.** Tajo respeta el consentimiento de los clientes mediante: - El tratamiento automático de las solicitudes de baja procedentes de Brevo - La supresión de las comunicaciones dirigidas a los clientes que se han dado de baja - El respeto de las preferencias del cliente en todos los canales (email, SMS, WhatsApp) Cuando un cliente se da de baja o retira su consentimiento, Tajo hace de inmediato lo siguiente: 1. Sincroniza la preferencia con Brevo 2. Impide futuras comunicaciones de marketing 3. Conserva registros de auditoría de los cambios de consentimiento ### ¿Tajo respeta y aplica la decisión de los clientes de oponerse a la venta de sus datos? **Sí.** Tajo no vende los datos de los clientes bajo ninguna circunstancia. En Tajo: - Nunca compartimos datos personales con terceros con fines comerciales - Solo transmitimos datos a Brevo como parte del funcionamiento principal de la plataforma - Cumplimos el requisito “Do Not Sell My Personal Information” de la CCPA - Mantenemos declaraciones claras de que no se produce ninguna venta de datos ### Si Tajo usa datos personales para la toma de decisiones automatizada y esas decisiones pueden tener efectos jurídicos o significativos, ¿pueden los clientes oponerse? **No aplica.** Tajo no realiza tomas de decisiones automatizadas con efectos jurídicos o de importancia similar sobre las personas. La plataforma ofrece: - Automatización de marketing (de la que los clientes pueden darse de baja por completo) - Gestión de programas de fidelidad (controlada por los comerciantes) - Segmentación de clientes (solo para uso del comerciante) Ninguna de estas actividades constituye una toma de decisiones automatizada con efectos jurídicos o significativos según el artículo 22 del RGPD. ## Almacenamiento y seguridad ### ¿Tajo aplica plazos de conservación que eviten guardar los datos personales más tiempo del necesario? **Sí.** Tajo aplica políticas claras de conservación de datos: **Datos de clientes activos:** - Se conservan mientras la cuenta del comerciante esté activa - Se usan para la sincronización continua y el funcionamiento de la plataforma - Los comerciantes pueden eliminar los datos de sus clientes en cualquier momento desde la interfaz de Tajo **Cancelación de la cuenta:** - Todos los datos de clientes se eliminan en un plazo de 90 días desde la cancelación de la cuenta - Los comerciantes pueden solicitar la eliminación inmediata de los datos al cancelar - Los datos de las copias de seguridad se purgan según nuestro calendario de retención de copias (30 días) **Conservación por obligación legal:** - Los registros de transacciones pueden conservarse más tiempo cuando lo exija la ley (por ejemplo, los registros fiscales) - Solo se conservan los datos mínimos necesarios para cumplir esas obligaciones Los comerciantes son responsables de: - Gestionar los plazos de conservación de sus propias actividades de tratamiento - Eliminar los datos de clientes cuando ya no sean necesarios - Cumplir la legislación de protección de datos aplicable en su jurisdicción ### ¿Tajo cifra los datos en reposo y en tránsito? **Sí.** Tajo usa cifrado conforme a los estándares del sector: **En tránsito:** - TLS 1.3 para todas las transmisiones de datos - HTTPS obligatorio en todo el tráfico web - Conexiones cifradas de la API con Brevo - Certificate pinning en las aplicaciones móviles **En reposo:** - Cifrado AES-256 para el almacenamiento en base de datos - Copias de seguridad cifradas - Almacenamiento de archivos cifrado para cualquier documento subido - Cifrado a nivel de base de datos para los campos sensibles (por ejemplo, las claves de API) ### ¿Tajo cifra las copias de seguridad? **Sí.** Todos los datos de las copias de seguridad están cifrados: - Copias de seguridad diarias automáticas cifradas con AES-256 - Archivos de copia de seguridad almacenados con cifrado en reposo - Gestión segura de las claves de cifrado de las copias - Pruebas periódicas de restauración para verificar su integridad ### ¿Tajo separa los datos de prueba de los de producción? **Sí.** Tajo mantiene una separación estricta: - Entornos de producción y de desarrollo o pruebas completamente separados - Ningún dato de producción se usa en entornos de prueba - Datos de prueba anonimizados y sintéticos - Bases de datos, servidores y controles de acceso independientes - Claves de API y credenciales distintas para cada entorno ### ¿Tajo tiene una estrategia de prevención de pérdida de datos? **Sí.** Tajo aplica una prevención de pérdida de datos completa: **Medidas preventivas:** - Copias de seguridad automáticas cada 24 horas - Replicación de la base de datos en tiempo real - Almacenamiento redundante en varias zonas de disponibilidad - Control de versiones y seguimiento de cambios **Detección:** - Monitorización automática de la integridad de los datos - Detección de anomalías en los patrones de acceso a los datos - Auditorías de seguridad y pruebas de penetración periódicas - Alertas automáticas ante posibles brechas de datos **Recuperación:** - Capacidad de recuperación a un punto concreto en el tiempo - Procedimientos documentados de recuperación ante desastres - Simulacros periódicos de recuperación ante desastres - RTO (objetivo de tiempo de recuperación): 4 horas - RPO (objetivo de punto de recuperación): 24 horas ## Control de acceso ### ¿Tajo limita el acceso de su personal a los datos personales de los clientes? **Sí.** El acceso a los datos de clientes está estrictamente controlado: **Principios de acceso:** - Principio de mínimo privilegio - Control de acceso basado en roles (RBAC) - Acceso solo cuando resulta estrictamente necesario - Revisiones periódicas de los accesos (trimestrales) **Niveles de acceso:** - **Sin acceso**: la mayor parte del personal no tiene acceso a los datos de clientes en producción - **Solo lectura**: el equipo de soporte tiene un acceso de lectura limitado y auditado para resolver incidencias - **Administrativo**: los administradores de bases de datos tienen un acceso elevado, con registro exhaustivo - **Emergencia**: procedimientos de acceso excepcional solo para incidentes críticos **Controles:** - Autenticación multifactor (MFA) obligatoria para todo el personal - VPN obligatoria para el acceso remoto - Lista de IP permitidas para el acceso administrativo - Cierre de sesión por inactividad y bloqueos automáticos ### ¿Tajo exige contraseñas robustas a su personal? **Sí.** Tajo aplica políticas de contraseñas de nivel enterprise: **Requisitos:** - Mínimo de 16 caracteres - Deben incluir mayúsculas, minúsculas, números y caracteres especiales - No se pueden reutilizar las 12 últimas contraseñas - Caducidad de la contraseña cada 90 días - Bloqueo de la cuenta tras 5 intentos fallidos **Seguridad reforzada:** - Autenticación multifactor (MFA) obligatoria para todo el personal - Integración de inicio de sesión único (SSO) con el proveedor de identidad corporativo - Autenticación biométrica admitida - Gestor de contraseñas obligatorio para toda la plantilla - Formación periódica de concienciación en seguridad ### ¿Tajo registra los accesos a los datos personales? **Sí.** Se mantiene un registro de auditoría completo: **Actividades registradas:** - Todas las consultas a la base de datos que acceden a datos de clientes - Las llamadas a la API de Brevo con información de clientes - El acceso administrativo a los sistemas de producción - Las exportaciones de datos y las operaciones masivas - Los cambios de configuración - Los intentos fallidos de autenticación **Cada entrada del registro incluye:** - Marca de tiempo del acceso - Identidad del usuario - Dirección IP y ubicación - Acción realizada - Datos consultados (ID de los registros) - Resultado correcto o fallido **Gestión de los registros:** - Los registros se conservan un año como mínimo - Almacenamiento cifrado de los registros - Sistema de registro a prueba de manipulaciones - Revisiones periódicas de los registros - Integración con SIEM para la monitorización en tiempo real - Alertas automáticas ante actividades sospechosas ### ¿Tajo tiene una política de respuesta a incidentes de seguridad? **Sí.** Tajo mantiene un Plan de Respuesta a Incidentes de Seguridad completo: **Detección y evaluación:** - Monitorización de seguridad 24/7 - Detección automática de amenazas - Clasificación de la gravedad del incidente - Evaluación inicial en menos de una hora **Equipo de respuesta:** - Equipo dedicado de respuesta a incidentes de seguridad - Procedimientos de escalado claros - Funciones y responsabilidades definidas - Expertos externos en seguridad con contrato de disponibilidad **Procedimientos de respuesta:** 1. **Contención**: aislamiento inmediato de los sistemas afectados 2. **Investigación**: análisis forense para determinar el alcance y la causa 3. **Erradicación**: eliminación de la amenaza y cierre de las vulnerabilidades 4. **Recuperación**: restauración de los sistemas y verificación de la seguridad 5. **Notificación**: aviso a las partes afectadas según exija la ley 6. **Revisión posterior al incidente**: documentación de las lecciones aprendidas y mejora de los procesos **Plazos de notificación:** - Los comerciantes reciben notificación en un plazo de 72 horas desde la confirmación de una brecha de datos - Las autoridades de control reciben notificación según exija la legislación aplicable (por ejemplo, el requisito de 72 horas del RGPD) - Las personas afectadas reciben notificación cuando exista un riesgo alto para sus derechos **Documentación:** - Todos los incidentes se documentan en detalle - Informes anuales de incidentes de seguridad - Formación periódica y ejercicios de simulación - Mejora continua de los procedimientos de respuesta ## Acuerdo de Tratamiento de Datos (DPA) Tajo opera bajo un Acuerdo de Tratamiento de Datos completo que cumple los requisitos del artículo 28 del RGPD. Sus elementos clave son: ### Funciones y responsabilidades - **Tajo actúa como encargado del tratamiento** de los datos de clientes del comerciante - **Los comerciantes actúan como responsables del tratamiento** y se encargan de: - Obtener el consentimiento adecuado de sus clientes - Facilitar los avisos de privacidad - Atender las solicitudes de derechos de los interesados - Determinar los fines y los medios del tratamiento ### Detalles del tratamiento **Finalidad:** prestación de los servicios de la plataforma Tajo, que incluyen: - Sincronización de los datos de clientes con Brevo - Gestión de programas de fidelidad - Automatización de marketing multicanal - Analítica e informes **Categorías de datos:** - Información de contacto (nombre, email, teléfono) - Historial de pedidos y datos de transacciones - Preferencias y estado de consentimiento de los clientes - Datos de comportamiento (clics, aperturas, interacción) - Datos del programa de fidelidad (puntos, niveles, recompensas) **Interesados:** - Clientes de los comerciantes - Visitantes del sitio web - Suscriptores de la newsletter - Miembros del programa de fidelidad ### Subencargados del tratamiento Tajo recurre a los siguientes subencargados del tratamiento: | Subencargado | Servicio | Ubicación | Garantías | | --- | --- | --- | --- | | Brevo | Plataforma de email, SMS y WhatsApp | Francia (UE) | Conforme al RGPD, cláusulas contractuales tipo | | AWS | Infraestructura en la nube | Regiones de la UE | Conforme al RGPD, EU-US Data Privacy Framework | | Cloudflare | CDN y seguridad | Global | Cláusulas contractuales tipo, localización de datos | **Aviso de cambios:** - Los comerciantes reciben aviso 30 días antes de que se incorporen nuevos subencargados - Derecho a oponerse a los nuevos subencargados - Soluciones alternativas o derecho de rescisión si la objeción está justificada ### Derechos de los interesados Tajo ayuda a los comerciantes a atender los derechos de los interesados: **Derechos admitidos:** - Derecho de acceso - Derecho de rectificación - Derecho de supresión (“derecho al olvido”) - Derecho a la portabilidad de los datos - Derecho de oposición - Derecho a la limitación del tratamiento **Gestión de las solicitudes:** - Los comerciantes pueden exportar los datos de sus clientes en cualquier momento - La eliminación de datos de clientes está disponible desde la interfaz de Tajo - Endpoints de la API para la gestión automatizada de los datos - Respuesta a las solicitudes de los interesados en un plazo de 5 días laborables ### Medidas de seguridad Consulta las medidas de seguridad completas en el anexo 4 de nuestro DPA, entre las que se incluyen: - Controles de acceso físico y lógico - Cifrado en reposo y en tránsito - Monitorización de seguridad y respuesta a incidentes - Auditorías de seguridad y pruebas de penetración periódicas - Formación del personal y verificación de antecedentes ### Transferencias internacionales de datos **Protección de datos en la UE:** - Almacenamiento principal de los datos en la UE (Bélgica, Francia) - Cláusulas contractuales tipo para cualquier transferencia fuera de la UE - Medidas complementarias, como el cifrado y los controles de acceso - Certificación del EU-US Data Privacy Framework cuando corresponda **Cumplimiento de la CCPA:** - Relación de proveedor de servicios claramente definida - Sin venta ni cesión de información personal - Cumplimiento de los derechos de privacidad de California - Acuerdo de tratamiento de datos firmado ### Derechos de auditoría Los comerciantes tienen derecho a: - Solicitar documentación sobre el cumplimiento normativo de Tajo - Revisar las certificaciones de seguridad y los informes de auditoría - Realizar auditorías (con un preaviso razonable, como máximo una vez al año) - Recibir documentación de seguridad, incluidos los informes SOC 2 ## Cumplimiento normativo ### RGPD (Reglamento General de Protección de Datos) **Estado de cumplimiento:** cumplimiento total **Puntos clave:** - Base jurídica válida para todas las actividades de tratamiento - Acuerdo de Tratamiento de Datos con todos los comerciantes - Evaluaciones de impacto relativas a la protección de datos (EIPD) realizadas - Delegado de Protección de Datos designado: [privacy@tajo.io](mailto:privacy@tajo.io) - Procedimientos de notificación de brechas (72 horas) - Registro de las actividades de tratamiento - Principios de privacidad desde el diseño y por defecto ### CCPA (Ley de Privacidad del Consumidor de California) **Estado de cumplimiento:** cumplimiento total **Puntos clave:** - Relación de proveedor de servicios (no vendemos datos) - Derechos del consumidor admitidos (acceso, eliminación, oposición) - Información obligatoria en la política de privacidad - Se respeta la opción “Do Not Sell My Personal Information” - Formación anual en protección de datos para el personal - Obligaciones contractuales con los comerciantes ### Directiva NIS 2 **Aplicabilidad:** cumplimiento cuando corresponde **Medidas de ciberseguridad:** - Marco de gestión de riesgos implantado - Notificación de incidentes de seguridad a los CSIRT - Requisitos de seguridad en la cadena de suministro - Evaluaciones de seguridad periódicas - Planes de continuidad de negocio y de recuperación ante desastres ### DORA (Reglamento de Resiliencia Operativa Digital) **Aplicabilidad:** preparado para las entidades financieras que usan Tajo **Elementos de cumplimiento:** - Marco de gestión de riesgos de TIC - Procedimientos de notificación de incidentes - Pruebas de resiliencia operativa digital - Gestión del riesgo de terceros - Derechos de acceso y de auditoría de los reguladores Nota: las disposiciones de DORA se aplican únicamente a las entidades financieras reguladas. Si eres una entidad financiera sujeta a DORA, ponte en contacto con nuestro equipo enterprise para obtener la documentación de cumplimiento específica. ## Contacto y soporte ### Delegado de Protección de Datos **Email:** [privacy@tajo.io](mailto:privacy@tajo.io) **Función:** supervisa todo el cumplimiento en materia de protección de datos ### Equipo de seguridad **Email:** [security@tajo.io](mailto:security@tajo.io) **Función:** gestiona los incidentes y las consultas de seguridad ### Soporte para comerciantes **Email:** [support@tajo.io](mailto:support@tajo.io) **Sitio web:** [https://tajo.io/es/contact/](https://tajo.io/es/contact/) **Función:** soporte y asistencia general de la plataforma ### Informar de una vulnerabilidad de seguridad **Email:** [security@tajo.io](mailto:security@tajo.io) **security.txt:** [https://tajo.io/.well-known/security.txt](https://tajo.io/.well-known/security.txt) Agradecemos la divulgación responsable de vulnerabilidades de seguridad. ## Recursos adicionales - [Política de privacidad](https://tajo.io/es/privacy) - [Términos del servicio](https://tajo.io/es/terms) - [Documentación de seguridad](https://tajo.io/es/security) - [Política de cookies](https://tajo.io/es/cookies) ## Versión del documento **Versión:** 1.0 **Última actualización:** enero de 2025 **Próxima revisión:** julio de 2025 Este documento se revisa y actualiza con regularidad para garantizar el cumplimiento continuo de una normativa de protección de datos en constante evolución y de las buenas prácticas del sector.